Brug af AST i arbejdsgange og sikkerhedskodning

Informatic Digital » Recursos » Brug af AST i arbejdsgange og sikkerhedskodning

Når vi taler om AST i workflow-kode , fusionerer vi faktisk flere verdener, der, selvom de tilsyneladende er forskellige, i stigende grad er forbundet: traditionel softwareudvikling , applikationssikkerhed, procesautomatisering med RPA, kodegenerering med AI og, interessant nok, endda forebyggelse af arbejdsrelateret risiko. Det hele drejer sig om, hvordan vi modellerer, analyserer, automatiserer og sikrer de arbejdsgange, der styrer komplekse systemer.

Abstrakte syntakstræer (AST'er) er blevet et centralt værktøj til at forstå og transformere kode, automatisere revisioner, generere tests, styrke sikkerheden og endda grafisk repræsentere forretningsarbejdsgange. Samtidig omfatter akronymet AST koncepter som applikationssikkerhedstestning og jobsikkerhedsanalyse, som peger på en anden underliggende idé: at tage arbejdsgange (software eller menneskelige) og underkaste dem systematisk analyse for at opdage fejl, risici og muligheder for forbedring.

AST som et abstrakt syntakstræ i arbejdsgange og kodegenerering

I udvikling af brugerdefineret software giver brugen af ​​abstrakte syntakstræer (AST'er) dig mulighed for at bevæge dig fra uigennemsigtig kode til visuelle og forståelige strukturer, der præcist beskriver logikken i en arbejdsgang. En AST opdeler programmet i noder, der repræsenterer operationer, kontrolstrukturer, funktionskald, data og relationer mellem dem, så logikken ophører med at være "løse kodelinjer" og bliver en navigerbar graf.

Denne repræsentation er især nyttig, når man administrerer kunstig intelligens-agenter eller distribuerede arkitekturer, hvor arbejdsgange er indviklede og vanskelige at følge mentalt. Ved at omdanne arbejdsgangskode til en AST (Automatic Software Analysis) er det muligt at generere diagrammer, der intuitivt viser beslutningsgrene, komponentafhængigheder, udførelsesrækkefølge og kritiske procespunkter, hvilket letter udvikling, gennemgang og teknisk beslutningstagning.

Virksomheder, der specialiserer sig i brugerdefineret software, såsom Q2BSTUDIO , udnytter disse syntakstræer til at omdanne komplekse arbejdsgange til tilgængelige, visuelt klare og frem for alt funktionelt nyttige diagrammer. Det handler ikke kun om at "tegne bokse", men om at have en struktureret model, der kan bruges til at forfine algoritmer, identificere flaskehalse, finde logiske fejl og bane vejen for fremtidige optimeringer.

Den store fordel ved AST i denne sammenhæng er, at det er uafhængigt af det endelige programmeringssprog . Fra det samme træ kan flowet kompileres eller transformeres til forskellige sprog eller platforme (for eksempel forskellige cloud-runtimes som AWS eller Azure), samtidig med at ensartet forretningslogik opretholdes. Dette muliggør mere fleksible, bærbare og vedligeholdelsesvenlige arkitekturer, hvor kernen i processen er defineret abstrakt, og den eksekverbare kode er en kontrolleret afledning.

Et andet centralt punkt er genbrugen af ​​noder i AST . Det er muligt at definere logiske blokke (f.eks. inputvalideringer, dataadgangsmønstre eller revisionsmekanismer), der genbruges som sikre og allerede validerede komponenter. Hvis disse noder også er kendt af den kodegenererende AI, kan den referere til dem i stedet for at opfinde dem fra bunden, hvilket i høj grad øger sikkerheden og konsistensen af ​​den genererede software.

AST- og AI-drevet funktionsgenerering: sikkerhed, validitet og tillid

Fremkomsten af ​​AI-modeller, der genererer kode, har åbnet en ny front : hvordan kan vi stole på funktioner skrevet af en AI uden manuelt at gennemgå hver linje? En solid løsning er ikke direkte at anmode om "eksekverbar kode", men snarere en struktureret repræsentation af logikken ved hjælp af et AST (Automatic Support Tool), som derefter valideres og transformeres til kode af et betroet værktøj.

Ved at arbejde med AST'er i stedet for almindelig kode genererer AI noder, operationer, kontrolstrukturer og datastrømme, der kan analyseres automatisk: typer, udførelsesstier, parameterkonsistens, fejlhåndtering, randbetingelser og andre egenskaber kontrolleres, før de når compileren eller fortolkeren. Dette filter reducerer drastisk risikoen for at udføre ondsindet eller simpelthen forkert kode.

Q2BSTUDIO og andre organisationer, der udforsker disse teknikker, lægger særlig vægt på at sikre, at AI-genereret logik er sporbar og verificerbar. AST (Automated System Analysis) bliver den "mellemliggende sandhed", som sikkerhedsregler, kvalitetsstandarder, interne politikker og konsekvensanalyser anvendes på. Således passer hver genereret funktion ind i et bibliotek af sikre noder, der udnytter tidligere reviderede elementer.

Denne tilgang åbner også døren for multifunktionelle builds : fra den samme AST kan kode genereres på forskellige sprog (f.eks. Python til microservices, C# til interne tjenester eller specialiserede scripts til cloud-orkestratorer). For virksomheder, der arbejder i hybrid- eller multi-cloud-miljøer, er dette særligt attraktivt, fordi det sikrer, at forretningsflowet er ensartet uanset den endelige stak.

Endelig muliggør brugen af ​​genanvendelige noder i AST konstruktionen af ​​certificerede "logikbiblioteker". I stedet for at opfinde databaseadgangsmønstre, sikkerhedsvalideringer eller logføringsspor, konstruerer AI dem ud fra disse byggesten, hvilket forbedrer både sikkerhed og ydeevne og letter efterfølgende analyser i værktøjer som Power BI eller andre business intelligence-platforme.

AST anvendt til intelligent testning i Python og maksimal kodedækning

AST er også grundlaget for avancerede automatiserede testløsninger , såsom visse open source-værktøjssæt til Python, der bruger kodestrukturen til at generere testpakker med en langt højere dækning end normalt opnås ved at skrive dem i hånden.

Denne type værktøj kombinerer tre hovedfunktioner : automatisk generering af enhedstests for en specifik Python-fil, guidet fuzzing for at udsætte kritiske funktioner for ekstreme og misdannede input, og dækningsorienteret testgenerering, hvor AST analyseres grundigt for at finde alle mulige branches, loops, betingelser og undtagelsesstier.

Nøglen er, at værktøjet bygger Python-kodens AST (Analog Test Asset) og ud fra den identificerer udførelsesstier, der endnu ikke er dækket af tests. Med disse oplysninger giver det en AI-model (f.eks. Gemini) til opgave at oprette testcases, der er specifikt designet til at aktivere hver sti. Derefter udfører det testene og måler dækningen med værktøjer som coverage.py, og dermed afslutter det en automatiseret kontinuerlig forbedringscyklus.

Denne tilgang genererer ikke blot en indledende batch af tests ; den muliggør iteration og forbedring. Hvis der efter en første runde stadig er ruter, der ikke er blevet testet, undersøges de igen ved hjælp af AST (Advanced Test Assay), og nye cases anmodes om fra AI'en. Dette gør processen tilpasningsdygtig til både ny kode og ældre kodebaser med ringe eller ingen forudgående testning.

Projektet er konfigureret som en MCP-server (Model Context Protocol) , så det fungerer som en lokal tjeneste, der kan kaldes fra editoren eller kommandolinjen. Brug af BAML sikrer, at den genererede testkode overholder et præcist format, er nem at analysere og ikke ødelægger de kontinuerlige integrationsværktøjer, der bruger den.

AST som jobsikkerhedsanalyse: sikre flow i arbejdsmiljøet

Under det samme akronym AST finder vi et andet udbredt koncept inden for forebyggelse af arbejdsrelateret risiko: Job Safety Analysis (Jobsikkerhedsanalyse). Selvom det opererer på et andet niveau end kode, deler det med Abstract Syntax Trees ideen om at opdele et flow (i dette tilfælde af menneskelige opgaver) i faser, identificere risici og definere kontroller før udførelse.

Jobsikkerhedsanalyse er en forebyggende proces, der primært anvendes på højrisikoaktiviteter, såsom arbejde i højden, betjening af komplekse maskiner eller håndtering af farlige stoffer. Arbejdsgangen er opdelt i trin, og for hvert trin identificeres specifikke farer, risikoniveauet vurderes, og kontrolforanstaltninger specificeres (PPE, skiltning, nødinstruktioner osv.).

De vigtigste fordele ved sikkerhedsvurderinger på arbejdspladsen omfatter færre ulykker, forbedret overholdelse af regler, forbedret driftseffektivitet og en styrket sikkerhedskultur. En klar opgavefordeling reducerer improvisation, forhindrer afbrydelser på grund af hændelser og sænker omkostninger forbundet med skader, bøder eller produktionsstop.

Den typiske procedure for at udføre en JSA i arbejdsmiljøet omfatter: nøjagtig definition af opgaven og dens kontekst (miljø, udstyr, materialer), opdeling af den i faser, identifikation af farer og risici i hver fase (fald, kemisk eksponering, fastklemning, udstyrsfejl), etablering af specifikke kontrolforanstaltninger, kommunikation og træning af de involverede arbejdere samt løbende overvågning og opfølgning for at justere analysen, hvis forholdene ændrer sig.

For at denne analyse kan være virkelig effektiv, anbefales det at bruge risikomatricer, tjeklister og i stigende grad digitale værktøjer, der letter dokumentationen, overvågningen og sporbarheden af ​​de trufne foranstaltninger. Konsulentfirmaer som GMS Consulting integrerer disse jobsikkerhedsanalyser (JSA'er) i ledelsessystemer som ISO 45001, hvilket hjælper organisationer med at bestå interne og eksterne revisioner og opretholde en cyklus med løbende forbedringer inden for arbejdsmiljø.

Applikationssikkerhedstest (AST): SAST, DAST, IAST, MAST og mere

Inden for cybersikkerhed refererer AST normalt til applikationssikkerhedstestning , det vil sige det sæt af teknikker og værktøjer, der sigter mod at opdage sårbarheder i moderne applikationer, tilpasse sig agile metoder og den stigende kompleksitet af software.

AST-løsninger er en hjørnesten i ethvert robust AppSec-program, fordi manuelle kodegennemgange og traditionelle testplaner er langsomme og ikke skalerer godt til den konstante fremkomst af nye sårbarheder. Derudover pålægger adskillige regler og lovgivningsmæssige rammer (såsom PCI-DSS, blandt andre) eksplicit brugen af ​​sådanne værktøjer.

Inden for applikationssikkerhedstest kan vi i dag skelne mellem flere hovedkategorier : statisk analyse (SAST), dynamisk analyse (DAST), interaktive og hybride teknikker (IAST), mobil applikationsspecifik testning (MAST) og andre komplementære tjenester såsom SCA, RASP, applikationsopdagelse, testning som en service eller korrelations- og dækningsværktøjer.

Statisk AST (SAST) teknologi analyserer kode i hvile (kildekode, bytekode eller binær kode) under programmerings- og testfaserne i softwareudviklingslivscyklussen. Det betragtes som en "white-box" test, fordi analytikeren har adgang til både koden og applikationsdesignet. Disse værktøjer leder efter svagheder såsom numeriske fejl, inputvalideringsproblemer, race conditions, usikre referencer, overflows og så videre.

Dynamisk AST (DAST) teknologi fokuserer derimod på den kørende applikation , typisk i kontrollerede test- eller produktionsmiljøer. Simulerede angreb udføres udefra for at afdække problemer såsom injektioner, godkendelsesfejl, dårlig sessionsstyring, grænsefladefejl eller problemer med responshåndtering. Det er en "black box"-tilgang, hvor der ikke antages kendskab til den interne kode.

IAST-teknologier kombinerer det bedste fra SAST og DAST . Applikationen er instrumenteret (f.eks. med en agent i JVM'en eller .NET CLR) til at observere dens adfærd indefra, mens dynamiske tests køres. Dette muliggør korrelation af data og udførelsesflows, forståelse af, om en teoretisk sårbarhed rent faktisk kan udnyttes, og reduktion af falske positiver ved at validere fund undervejs.

MAST, eller Mobile Application Security Testing , anvender en blanding af statisk, dynamisk og retsmedicinsk analyse specifikt på iOS- og Android-applikationer, inklusive deres backend-komponenter. Disse løsninger er særligt opmærksomme på scenarier som rootede eller ulåste enheder, falske Wi-Fi-netværk, forkert certifikatadministration, lækager af følsomme data og andre karakteristika ved mobilmiljøet.

Yderligere tjenester: SCA, RASP, discovery, databaser og ASTO-orkestrering

Mange AST-udbydere har udvidet deres tilbud med vigtige supplerende tjenester , der dækker hele økosystemet for applikationssikkerhed og cybersikkerhedsrisikostyring , fra softwarekomposition til database og orkestrering af alle værktøjer.

Software Composition Analysis (SCA) fokuserer på at identificere tredjeparts- og open source-komponenter, der er inkluderet i en applikation, og sammenligne dem med kendte sårbarhedsdatabaser såsom NIST NVD, CVE og kommercielle databaser som VulnDB. Disse værktøjer kan registrere forældede versioner eller versioner med ventende sikkerhedsrettelser, men de identificerer typisk ikke sårbarheder i applikationens egen kode.

RASP (Runtime Application Self-Protection) tager instrumentering et skridt videre og bruger teknikker svarende til IAST til at overvåge den kørende applikation og blokere angreb i realtid, hvilket på nogle måder konkurrerer med traditionelle WAF'er. Mange teams starter med at aktivere instrumentering udelukkende til diagnostiske formål (IAST-tilstand), og når de er sikre på resultaterne, skifter de til RASP-tilstand med effektiv angrebsblokering.

Også relevant er applikationsopdagelsesfunktionen , som analyserer en organisations webøkosystem og lokaliserer alle eksponerede websteder og tjenester, inklusive dem, der er blevet glemt, men som stadig er et potentielt indgangspunkt.

På datalagsniveau gennemgår værktøjer til databasesikkerhedsanalyse versioner, programrettelser, konfigurationer, adgangskoder, adgangspolitikker og andre sårbarheder, både for data i hvile og, i nogle produkter, for data under overførsel. Dette er afgørende, fordi mange udnyttelige sårbarheder stammer fra dårlig databasestyring snarere end fejl i applikationskoden.

ASTAaS-modellen (Application Security Testing as a Service) outsourcer dele af eller hele sikkerhedstestprocessen til en specialiseret udbyder og kombinerer statisk og dynamisk analyse, penetrationstest, API-evaluering og risikoanalyse. Den er især attraktiv i cloud-miljøer, hvor det er enklere at opsætte og skalere testmiljøer.

For at håndtere strømmen af ​​fund fra flere værktøjer er der dukket resultatkorrelationsløsninger og dækningsanalysatorer op. Førstnævnte forener og prioriterer sårbarheder, der opdages af forskellige løsninger såsom SAST, DAST, IAST, MAST osv., mens sidstnævnte måler, hvor stor en procentdel af kode eller logiske grene der faktisk er blevet testet, hvilket hjælper med at etablere acceptable kvalitetstærskler og detektere kode, der ikke kan testes.

Endelig foreslår Application Security Testing Orchestration (ASTO) at integrere alle disse værktøjer på en koordineret måde inden for softwareudviklingslivscyklussen (SDLC) og CI/CD-pipelinerne med centraliseret styring af politikker, udførelse og rapportering. Selvom det stadig er et felt i udvikling, imødekommer det behovet for at automatisere sikkerhedstestning så meget som muligt uden at sænke leveringshastigheden.

Sikkerhedsorienteret statisk kildekodeanalyse: standarder, teknikker og udfordringer

Statisk kildekodeanalyse med fokus på sikkerhed er et stigende krav for organisationer, der søger at tilpasse sig sikre udviklingsstandarder og bedste praksis. Frameworks som CLASP, OpenSAMM, Touchpoints og Microsoft SDL integrerer eksplicit denne fase i udviklingslivscyklussen, hvilket forstærker konceptet "sikkerhed gennem design".

Metoder som OWASP og sikre SDLC-frameworks giver konkrete retningslinjer for udførelse af statisk analyse, definition af evalueringskriterier, udnyttelse af resultater og sammenligning af fund i forhold til benchmarks som OWASP Top 10 (XSS, SQL Injection, File Inclusion osv.). Eksisterende SAST-værktøjer – både kommercielle og open source – er i høj grad afhængige af compilerteori, AST og informationsflowanalyse for at udtrække nyttig viden fra kode.

Blandt de elementære teknikker kan vi nævne avanceret grep (søgning efter mønstre og mulige hemmeligheder i almindelig tekst), indrykning og strukturverifikation, dataflowanalyse for at følge en variabels levetid fra dens definition til dens brug, konstant udbredelse for at evaluere virkningen af ​​uforanderlige værdier og alias- eller pointeranalyse for at forstå indirekte referencer i lavniveausprog.

Ved klassificering af fund er det nyttigt at skelne mellem fejl (afvigelser mellem, hvad programmøren havde til hensigt, og hvad softwaren rent faktisk gør), overtrædelser af bedste praksis eller sprogregler (ikke-ideel kode) og sårbarheder, forstået som den delmængde af problemer med indflydelse på sikkerheden. Et stykke kode kan være både en fejl og en overtrædelse og stadig ikke kunne udnyttes på grund af yderligere sikkerhedslag.

En stor udfordring er, at mange populære SAST-værktøjer (såsom PMD, SonarQube eller FindBugs) er mere fokuserede på kodekvalitet end ren sikkerhed, og deres fulde potentiale realiseres, når de integreres fra projektets start, hvilket ikke altid sker. I miljøer, hvor eksisterende kode – ofte skrevet af tredjeparter – revideres, kan disse værktøjer komme til kort, hvilket gør det nødvendigt at bygge brugerdefinerede analysatorer, der er skræddersyet til teamets behov.

Processen med at bygge en statisk analysator er typisk organiseret som en pipeline: startende med kildekoden (genereret kode, binære filer eller maskinkode er ikke inkluderet i denne kategori), udføres en internaliseringsproces for at producere en abstrakt model, der er tro mod den originale kode (generelt en beriget AST), entitets- og udførelsesmodeller udledes, analyseteknikker anvendes, og endelig genereres rapporter. Kvaliteten af ​​hele processen afhænger kritisk af internaliseringsfasen.

Internalisering og generering af AST: frontends, grammatikker og flertydigheder

Internaliseringsfasen har til formål at oversætte kildekoden til en struktur, der kan håndteres af parseren, typisk en AST eller en lignende graf. Dette kan opnås ved hjælp af frontends til eksisterende compilere (såsom GCC til C, Mono til .NET eller Eclipse JDT til Java), som leverer dokumenterede og effektive strukturer.

Det har dog ulemper at stole på disse frontends . Mange er designet til at integrere med et IDE, kræver oprettelse af yderligere projekter og konfigurationer og genererer modeller, der er rettet mod brugerinteraktion snarere end storstilet analyse. Desuden fungerer de ofte på præbehandlet kode (f.eks. C med løste makroer), hvilket kan introducere uoverensstemmelser med den oprindelige kildekode ved rapportering af fejl.

Når disse muligheder ikke er tilstrækkelige , bliver det nødvendigt at ty til klassiske compilerteoriteknikker: konstruktion af grammatikker, definition af parsere med værktøjer som ANTLR, Bison eller Flex, eller endda programmering af parserkombinatorer eller PEG-baserede løsninger. Dette kræver en dyb forståelse af syntaksen og semantikken i det sprog, der behandles.

Almindelige problemer på dette stadie inkluderer syntaktiske flertydigheder (udtryk, som grammatikken kan fortolke på flere gyldige måder), kontekstafhængige eller semantiske flertydigheder (f.eks. at skelne mellem, om et fragment repræsenterer en multiplikation eller en pointerdeklaration) og referenceopløsning (at vide i hver brug, hvilken variabel, type eller medlem der rent faktisk refereres til).

I komplekse sprog som C++ eller i blandede miljøer – for eksempel ASPX med C#, Android med Java/Dalvik – mangedobles disse tvetydigheder. Selv avancerede IDE'er udviser farve- eller symbolgenkendelsesfejl i vanskelige fragmenter, hvilket illustrerer sværhedsgraden for dem, der bygger deres egne analyseværktøjer.

Konklusionen er, at der ikke findes magiske løsninger : du skal mestre grammatikken, semantikken, sprogets hukommelsesmodel, reglerne for navneopløsning og have et meget klart mål for analysen, fordi det er let at fare vild i implementeringsdetaljer, der ikke tilføjer værdi til revisionen eller den anvendte use case.

Avancerede analyseteknikker: informationsstrømme og udførelsesmodeller

Når robuste interne modeller (AST, hukommelses- og udførelsesmodeller) er på plads , begynder den egentlige analysefase. Dataflowanalyse er nøglen her, idet den undersøger, hvordan information forplanter sig gennem applikationen fra upålidelige kilder (brugerinput, filer, sockets osv.) til potentielt farlige sinks ( SQL-forespørgsler , systemkommandoer, unescaped HTML-gengivelse osv.).

Flowanalyse giver dig mulighed for at studere alle mulige udførelsesstier, der forbinder et input til et sårbart punkt, både fremadrettet og bagudrettet, hvilket er essentielt for taint-analyseteknikker. Det kræver en præcis forståelse af sprogets hukommelsesmodel og implicitte udbredelsesmekanismer (pass by value eller reference, closures, uforanderlige objekter, tråde osv.).

Det er også nødvendigt at modellere eller inkludere tredjepartsbibliotekers adfærd , da en stor del af forretningslogikken og indgangs-/udgangspunkterne findes i dem. Hvis disse ikke tages i betragtning, kan analyserne generere et stort antal falske positiver eller, værre endnu, falske negativer, der går ubemærket hen.

Et illustrativt eksempel er analysen af ​​en applikation, der er sårbar over for SQL-injektion : Koden kan virke simpel, men gennem taint-analyse kan man observere, hvordan en brugerstyret parameter udbredes gennem flere funktioner, indtil den når forespørgselskonstruktionen, som udføres uden korrekt parametrisering. Uden en detaljeret flow- og hukommelsesmodel er disse afhængigheder vanskelige at opdage automatisk.

Et andet, mere komplekst tilfælde involverer delte statiske variabler, callbacks eller events , hvor den værdi, der når en sink, afhænger af tidligere udførelser eller mindre åbenlyse stier. Her er det udførelsesmodellen – der repræsenterer tilstande, overgange og kontekster – kombineret med AST, der giver os mulighed for at stykke puslespillet sammen og drage pålidelige konklusioner om kodesikkerhed.

Selvom disse teknikker introducerer yderligere udfordringer , såsom tværsproglig analyse eller præcis evaluering af udtryk i meget dynamiske miljøer, bringer de resultatet af høj kvalitet: færre fortolkningsfejl, hurtigere processer, når infrastrukturen er bygget, og et standardiseret rammeværk, der kan tilpasses forskellige projekter og teknologier.

Automatisering af arbejdsgange med RPA hos AST (Aragonese Telematics Services)

Ud over kodeanalyse optimeres arbejdsgange også i den offentlige forvaltning gennem RPA-teknologier (Robotic Process Automation). Et illustrativt eksempel er Aragonesa de Servicios Telemáticos (AST), en offentlig enhed, der leverer IKT-tjenester til Aragoniens regering og fungerer som telekommunikationsoperatør for den autonome region.

AST administrerer et bredt katalog af digitale tjenester – dokumenthåndtering, elektronisk signatur, betalingsgateways, BI, spatiale datainfrastrukturer, applikationshosting, arbejdsstationer, konnektivitet og værdiskabende tjenester – og stødte på en kritisk flaskehals: den manuelle proces med fakturaoprettelse, som forbrugte en stor mængde tid og ressourcer i meget koncentrerede perioder.

For at imødegå denne udfordring blev Hiberus hyret om bord og foreslog en RPA-baseret løsning ved hjælp af UiPath. Tilgangen fulgte en struktureret rækkefølge: oprettelse af et specialiseret Agile Center (RPA-konsulenter, arkitekter, udviklere, testere), procesrådgivning for at identificere automatiserbare data, systemer og arbejdsgange, udvikling af et PDD-dokument med den funktionelle definition, og derfra opbygning af miljøet og udvikling af løsningen.

Automatiseringen omfattede integration med virksomhedens digitale signaturplatform , et centralt system til fakturasignering, og endda tilføjelse af et alarmsystem, som det oprindelige værktøj manglede. Udviklings- og produktionsmiljøer blev implementeret, og en specifik testplan blev udført målrettet præproduktionssystemer, hvilket gjorde det muligt for AST at validere robotten uden at påvirke dens daglige drift.

Efter validering blev løsningen implementeret i produktion , hvorved UiPaths styrker blev udnyttet: evnen til at automatisere komplekse og store processer, lavt programmeringskrav, nem horisontal skalering, udviklingshastighed, indbygget notifikationssystem og muligheden for at stoppe udførelser, hvis der opdages problemer.

Projektet blev afsluttet med detaljeret træning af AST-personale , i fællesskab udarbejdede brugermanualer og praktiske sessioner for at sikre, at ledere kunne betjene værktøjet selvstændigt, justere indstillinger og forstå resultaterne uden konstant at være afhængige af leverandøren.

De kvantitative resultater var yderst betydningsfulde : i en periode på to måneder blev der genereret over 500 fakturaer, 60 % mere end året før, og tiden pr. faktura faldt fra 10 minutter til cirka 2, hvilket repræsenterer en reduktion på 80 % i den gennemsnitlige behandlingstid. På mellemlang sigt forventes der besparelser på hundredvis af timers manuel arbejdskraft, udover kvalitative fordele såsom eliminering af menneskelige fejl, større fleksibilitet i forbindelse med genindsendelse af fakturaer, øget produktivitet og bedre overensstemmelse med faktureringsmål.

Fra et strategisk perspektiv stemmer dette RPA-pilotprojekt overens med AST's plan om at indføre robotbaseret procesautomatisering og automatiserede administrative procedurer i den aragonesiske administration. Derudover har det bidraget til at gennemgå og præcisere forretningsregler i faktureringsprocessen, forbedre informationsdeling mellem interessenter og identificere nye processer, der kan automatiseres i efterfølgende faser.

Samlet set viser dette billede, hvordan konceptet AST , i dets forskellige betydninger, er kernen i forbedringen af ​​arbejdsgange: modellering af programlogik ved hjælp af abstrakte syntakstræer til intelligent udvikling og testning, undersøgelse af applikationssikkerhed med specialiserede værktøjssæt, opdeling af arbejdsopgaver for at eliminere risici eller orkestrering af robotter, der tager sig af gentagne opgaver, så folk kan fokusere på aktiviteter med højere værdi.